Une application de réseau social utilise le SDK AWS pour JavaScript dans le navigateur afin d'obtenir les informations d'identification de l'utilisateur à partir d'AWS STS. Les ressources de l'application sont stockées dans un compartiment S3 et distribuées via une distribution CloudFront avec le compartiment S3 comme origine. Actuellement, les informations d'identification de rôle que l'application assume sont stockées en texte brut dans un fichier JSON au sein du code frontal. Le développeur doit supprimer les informations d'identification codées en dur tout en permettant à l'application d'obtenir des informations d'identification. Quelle approche satisfait cette exigence ?

La bonne approche consiste à utiliser Lambda@Edge pour gérer l'obtention des informations d'identification STS. Lambda@Edge s'exécute plus près de l'utilisateur, réduisant la latence, et peut intercepter les requêtes CloudFront. En déplaçant les appels du SDK du frontend vers une fonction Lambda@Edge, les informations d'identification codées en dur sont éliminées du code côté client. Le rôle d'exécution de la fonction Lambda@Edge peut être configuré avec les autorisations nécessaires pour appeler AWS STS, garantissant ainsi que les informations d'identification ne sont jamais exposées au navigateur. Les CloudFront Functions ne sont pas adaptées car elles sont conçues pour des manipulations légères de requêtes/réponses et ne peuvent pas effectuer d'appels réseau externes à des services AWS comme STS. Placer les informations d'identification en texte brut dans la fonction, qu'il s'agisse de Lambda@Edge ou de CloudFront Function, ne résout pas le problème de sécurité des informations d'identification codées en dur, mais les déplace simplement.